本帖最後由 gfx86674 於 2015-2-19 23:34 編輯
前言:
Site to Site的定義就是把VPN當做兩地的橋樑,讓兩分享器的網域可彼此連接.
如果橋樑是可以通行的 ,誰當Server誰當Client一點都不重要.
只要VPN這一條橋樑建立的起來,
封包就可以從client往server送,或者server往client送.
無需分享器A當client 往分享器B server連接 ,
再把分享器B當client 往分享器A server連接.
這樣做等於建兩座橋樑,說真的效率不會比較高.
所以只要VPN橋樑建立的起來,用什麼VPN協定都不管.
而做Site to Site 的事前基本工即是讓VPN能直接對Server或Client網域做讀取.
設定方式很簡單,只要將Server與Client區網interface裡arp設定為proxy-arp即可.
若您只是希望單向Client對Server ,或Server對Client網域讀取.
您只要啟用一方的proxy-arp即可 ,無需雙方的都選擇開啟.
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
接下來是正式的Site to Site教學 ,小弟是設定home to office ,選用sstp做連接.
小弟選用office當Server ;Home當client.
office啟用 sstp-server:
請明確定義Local/Remote Address ,以利後續設定.
Home設定 sstp-client:
Server端(office)顯示DR <sstp-office>,代表遠端(Home)成功撥接.
若您事前有設定proxy-arp ,兩分享器透過命令視窗應該ping得到彼此的區網裝置.
但就是局限於ROS主機 ,網域的電腦還是ping不到遠方.
這時後我們就得用偽裝.
但為何得偽裝 ,即是將區網ip偽裝成vpn的local address ,這樣就讀得到遠端了.
所以在設定vpn server時強調要定義明確的值,就在這個用意.
而偽裝需設定route與nat ,設定如下:
Client (Home):
/ip route
/ip firewall nat
Server (office):
/ip route
/ip firewall nat
基本上述即完成Sito to Site ,還是得需注意Server NAT這邊的設定.
尤於Site to Site 的VPN橋接通道並非永遠存在 ,當斷線再重新連接時.
NAT 裡的out-interface會變成unknow ,造成Server to Client的偽裝失能.
所以要透過腳本(Script) ,每3秒檢驗out-interface名稱一次.
若out-interface 發生錯誤自動從unknow再修正回<sstp-office>- :if ([/ip firewall nat get [find to-addresses="10.0.200.1"] out-interface]!="<sstp-office>") \
- do={/ip firewall nat set [find to-addresses="10.0.200.1"] out-interface="<sstp-office>"}
只要接著做:
/ip firewall mangle
/ip route
這樣大致所有設定就結束囉  |
發表於 2015-2-6 17:00
| 
